Группировка вымогателей Lorenz проникает в корпоративные сети через телефонные системы

ИБ-специалисты из Arctic Wolf Labs раскрыли новый метод атаки группировки Lorenz, сравнив его с тактиками, техниками и процедурами других кибервымогателей, использовавших критическую уязвимость CVE-2022-29499 для получения первоначального доступа к системам жертв, о чем компания Crowdstrike сообщала в июне этого года.

И хотя произошедшие кибератаки не были связаны с конкретной бандой киберпреступников, Arctic Wolf Labs смогла с высокой степенью уверенности приписала их банде Lorenz.

В своем отчете исследователи сообщают, что цепочка атак началась с VoIP-устройства Mitel, расположенного в периметре сети. Группировка Lorenz использует CVE-2022-29499 для создания обратной оболочки, с последующим запуском web-оболочки на VoIP-устройстве и загрузки прокси-инструмента Chisel с открытым исходным кодом.

Уязвимость стала опасным оружием в арсенале банды, учитывая то, что VoIP-устройства от Mitel используются организациями по всему миру, при этом более 19 000 устройств уязвимы к атакам с использованием CVE-2022-29499. Стоит отметить, что компания устранила уязвимость, выпустив исправления безопасности в начале июня 2022 года.